6 de setembro de 2026 · Ransomware · Rhysida · Sicherheitsvorfall · Verwaltung · Notfallplanung

Rede estadual de Berlim: entre o alerta desfeito e a fuga de dados

A 19 de agosto Berlim comunicou que nada de sensível tinha saído. A 4 de setembro os dados estavam na rede. O que fica pelo meio – e o que daí decorre.

Na sexta-feira, 14 de agosto de 2026, o Estado de Berlim desligou duas administrações do Senado da rede estadual: a do desenvolvimento urbano, construção e habitação e a da mobilidade, transportes, proteção climática e ambiente. O comprometimento tinha sido detetado em investigações forenses. Ambas passaram a estar contactáveis apenas por telefone; o subsídio de habitação não podia ser requerido nem pago. Foram envolvidos o Departamento Estadual de Investigação Criminal, o Ministério Público e o BSI.

Cinco dias depois, o presidente da Câmara, Kai Wegner, afirmou que, segundo os conhecimentos disponíveis, não tinham saído dados sensíveis – e limitou a frase de imediato: «Este é o estado atual do conhecimento.»

A 4 de setembro, o grupo autor, Rhysida, publicou o acervo de dados – cerca de 5,26 terabytes segundo a análise do que foi efetivamente divulgado.

Entre estas duas frases está a verdadeira lição deste incidente – e ela não tem a ver com Berlim, mas com a forma como decorrem ataques deste tipo.

O que aconteceu de facto

A 7 de agosto, a Administração do Senado para a Mobilidade comunicou uma primeira fuga de dados – sete dias antes de a casa ser desligada da rede estadual. O trabalho forense encontrou depois mais fugas e situa a janela entre 7 e 12 de agosto. A exfiltração não terminou, portanto, com a descoberta: continuou enquanto já se investigava.

A 28 de agosto Berlim tornou público que não pagaria. Após uma sessão extraordinária do Senado, Wegner declarou que o Estado de Berlim estava a ser extorquido e que não se entraria na tentativa de extorsão. O grupo fixou um prazo e ofereceu os dados com uma licitação mínima de 30 bitcoin – cerca de dois milhões de euros.

A 4 de setembro seguiu-se a publicação. Os atacantes reivindicam 5,79 terabytes e cerca de 1,44 milhões de ficheiros com dados pessoais de 12.076 pessoas – números da entrada no site de fugas, não confirmados por Berlim. Uma análise do que foi efetivamente divulgado chega a 5,26 terabytes com um número de ficheiros praticamente idêntico: os atacantes exageraram no volume, não na quantidade de documentos. A análise classifica o acervo como documentação de pessoal, financeira e administrativa, além de credenciais de acesso.

Um pormenor dessa análise merece atenção especial: encontra no material publicado também conteúdos da reciclagem e ficheiros Word e Excel guardados temporariamente. Quem equipara mentalmente os dados que saem ao acervo documental cuidado subestima o dano. Leva-se o que está ao alcance – incluindo aquilo que numa casa se dava por apagado.

Porque o primeiro alívio não foi uma falha

Seria fácil censurar ao Estado a declaração de 19 de agosto. Estava formulada com cautela, e Wegner limitou-a ele próprio – e descreve exatamente a situação em que qualquer organização se encontra nos primeiros dias: vê-se o que os próprios sistemas registaram, não o que a outra parte já tem.

É precisamente esse o ponto para a sua casa. Nos primeiros dias após uma deteção não há uma afirmação sólida sobre se saíram dados. Há apenas a afirmação de que até agora não foi possível ver uma saída. Quem transforma isso num alívio interno – perante a direção, a comissão de trabalhadores, os clientes – pode ter de o retirar semanas depois, e então numa situação em que já ninguém ouve com calma.

A consequência prática é incómoda, mas simples: formule os pontos de situação de modo que continuem verdadeiros se a coisa piorar.

Como entraram não está publicamente esclarecido

Sobre como os atacantes entraram tecnicamente não há resposta pública conclusiva semanas depois do incidente.

Uma nota à margem, porque de outro modo será outra pessoa a estabelecer a ligação: num alerta de 4 de setembro, o BSI descreve para o comprometimento de uma instituição estatal não identificada em agosto de 2026 uma cadeia concreta – um site preparado, um CAPTCHA falso, um comando PowerShell executado pelo próprio utilizador, depois sideloading e um canal de retorno pela porta 443 – e atribui o malware utilizado ao mesmo grupo que está por detrás do Rhysida. Se foi esse o caminho em Berlim, o documento não o diz. E nenhuma outra fonte pública o diz também.

Para o planeamento próprio esta é a observação mais importante de todo o processo. Se um Estado federado com investigação criminal, Ministério Público e BSI atrás de si não nomeia publicamente o acesso inicial ao fim de semanas, não conte com conhecê-lo na sua casa em três dias. Um plano de emergência que pressupõe conhecer o caminho antes de agir não é um plano.

O que a desligação da rede mostra

A primeira medida em Berlim foi de natureza estrutural: duas administrações foram separadas da rede estadual – não o resto. Que tal separação esteja sequer disponível como opção não é evidente, mas uma questão de arquitetura de rede. Barata também não é: nas casas desligadas corriam procedimentos especializados, e o subsídio de habitação ficou parado. A contenção custa – a única questão é se chega a ser uma opção.

Numa rede plana essa opção não existe. Aí conter significa: tudo desligado, ou nada desligado. Por isso a segmentação não é um exercício de conformidade, mas a condição para se ter escolha numa emergência.

Para a sua casa vale o mesmo na recuperação. Cópias de segurança acessíveis e alteráveis a partir da mesma rede não são cópias de segurança num caso de ransomware. Imutáveis, separadas e – a parte que quase todos omitem – restauradas pelo menos uma vez antes de ser preciso.

O que isso significa para o prazo

No seu alerta, o BSI reproduz o conhecimento de um prestador comercial de serviços: à menção no site de fugas deste grupo segue-se também uma publicação em 92 por cento dos casos, em média 11 dias depois. Berlim confirma a primeira parte – e ficou abaixo da segunda: entre a menção a 28 de agosto e a publicação a 4 de setembro passaram sete dias.

Uma semana escassa não é tempo de negociação. É o tempo para identificar os afetados, cumprir as obrigações de notificação e preparar uma comunicação que não seja improvisada no dia da publicação. E a média não é uma promessa – Berlim teve menos quatro dias. Quem só começa a organizar essa semana depois da deteção perde-a na organização.

Como a sector7 apoia

O que daqui serve para a sua casa chega-nos de duas direções. Da indústria de defesa: os nossos engenheiros têm instrução VS-NfD e experiência de projeto em ambientes classificados do setor da defesa – da arquitetura e pilotagem de uma infraestrutura SD-WAN para um grupo do setor até à assunção de uma plataforma de application delivery em operação regular. E do trabalho para municípios e administrações. O que daí perdura é menos a tecnologia do que o modo de lidar com ela: alterações documentadas, acessos rastreáveis, nenhum atalho.

Na prática significa três coisas. Planeamos e operamos redes segmentadas com transições controladas – para que a contenção seja uma opção e não uma paragem total. Implementamos cópias de segurança imutáveis em destinos próprios geo-redundantes, testamos a restauração e ensaiamos o plano de emergência em vez de o arquivar. E operamos os nossos sistemas em infraestrutura própria na Alemanha, com parque de servidores e espaço de endereços IP próprios.

Um limite nomeamo-lo à partida, porque de outro modo chega tarde à conversa: VS-NfD é o nível mais baixo de proteção de segredos e o único que funciona sem uma verificação de segurança formal. Temos instrução VS-NfD – não somos uma empresa sob supervisão oficial de proteção de segredos. Onde a sua encomenda exigir mais, dizemo-lo antes. Mais sobre isso em indústria de defesa e fornecedores.

Fontes

Vamos falar sobre a sua situação.

Agendar uma conversa+49 212 240915 0